Episode 3 : Exploiting Buffer Overrun Microsoft FrontPage Server Hole In Windows 2000

1. OPENING 
 Episode ke 3 dari Tales ini akan bercerita mengenai cara menjebol sekuritas dari Windows 2000 dengan menggunakan exploit milik Metasploit 3 yaitu fp30reg_chunked. fp30reg_chunked adalah modul exploitasi milik Metasploit yang meng-eksploitasi hole pada Frontpage Server. Hole akan muncul saat terjadi 'Buffer-Overrun" pada Frontpage Server. Hole ini ditemukan oleh Brett Moore, dan kemudian dimuat dalam Microsoft Security Bulletin MS03-051. Sedangkan untuk Exploit dari metasploit ini dibuat oleh hdm (hdm@metasploit.com). Berikut adalah References untuk Hole Ini:

• http://www.securityfocus.com/bid/9007
• http://www.osvdb.org/2952
• http://cve.mitre.org/cgi-bin/cvename.cgi?name= 2003-0822
• http://www.microsoft.com/technet/security/bulletin/MS03-051.mspx
• http://milw0rm.com/metasploit/29 

Hole ini hanya berpengaruh pada OS :

• Microsoft Windows 2000 Service Pack 2, Service Pack 3
• Microsoft Windows XP, Microsoft Windows XP Service Pack 1
• Microsoft Windows XP 64-Bit Edition, Microsoft Windows XP 64-Bit Edition Service Pack 1
• Microsoft Office XP, Microsoft Office XP Service Pack 1, Service Pack 2
• Microsoft Office 2000 Server Extensions

Untuk source dari exploit ini dapat didownload dari http://dev.metasploit.com/redmine/projects/framework/repository/entry/modules/exploits/windows/isapi/ms03_051_fp30reg_chunked.rb
Namun kelemahan dari exploitasi melalui hole, adalah tidak dapatnya melakukan aktivitas yang membutuhkan privileges , semisal membuat user administrator, atau melakukan pengelolaan terhadap user di OS tersebut.

2. CLIMAX
Untuk Melakukan Exploitasi Hole ini dapat mengikuti Video Tutorialyang telah saya Upload di Youtube ini:

Atau untuk yang ber-bandwith kecil, atau ber-speed "Dewa Keong" dapat mendownload kumpulan Dokumentasi Image yang telah saya buat pada link ini --> Buffer_Overrun_in_Microsoft_Frontpage_IMAGE_DOCS

3. ANTI CLIMAX

Untuk menambal hole ini dapat dilakukan dengan melakukan Patch SP 4 Ke Windows 2000, Patch tersebut dapat diperoleh di link ini --> Windows 2000 SP 4 Patch , sedangkan untuk versi windows yang lain, referensi dapat mengacu pada ms03-051 Microsoft Security Bulletin

PS: Sorry  kalo article yang ini rada acak2an (So Messy, just like a wreck submarine :D), maklum lagi hectic soal UAS xD 

Read more!

Episode 2 : How To Avoid Microsoft RPC DCOM Interface Overflow Exploit

1. OPENING
Setelah pada episode sebelumnya, saya melakukan exploitasi pada windows 2000 server dengan menggunakan Modul Exploit Metasploit ‘ms03_026_dcom’, kali ini saya akan membeberkan, bagaimana cara agar kita terhindar dari serangan exploitasi tersebut.
Cara untuk mencegah terjadinya exploitasi OS dengan modul tersebut, adalah dengan melakukan update pada Windows 2000 Server yang kita miliki.  Update yang dibutuhkan adalah KB828741-Security Update for Windows 2000. Update tersebut dapat didownload dari link --> http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=10862 , sedangkan untuk dokumentasi atau penjelasannya dapat dibaca pada link --> http://technet.microsoft.com/en-us/security/bulletin/ms04-012 .
2. CLIMAX
Setelah selesai download, lakukan instalasi update tersebut. Langkah instalasnya adalah sebagai berikut:

• Buka file Windows2000-KB828741-x86-ENU.EXE yang telah di download.

• Pilih I Agree, lalu next

• Tunggu sampai instalasi selesai, lalu restart computer.

          

3.ANTI-CLIMAX
Setelah  Windows Berhasil di Patch, saya kembali mencoba untuk meng-exploitasi windows 2000 milik target.  Namun, tidak berhasil, target tidak dapat ditembus dengan menggunakan modul exploitasi tersebut. Dengan demikian Patch tersebut telah berhasil menutup hole pada RPCSS milik windows 2000 server.

Read more!

Episode 1 : Attacking Windows 2000 Server Using Microsoft RPC DCOM Interface Overflow Exploit

1. OPENING 
Episode kali ini saya akan bercerita mengenai cara menjebol sekuritas dari Windows 2000 dengan menggunakan salah satu exploit milik Metasploit 3 yaitu ms03_026_dcom. ms03_026_dcom adalah salah satu modul exploitasi milik Metasploit yang dapat meng-eksploitasi beberapa Windows Operating System, antara lain Windows NT 4.0 SP3-6a, Windows 2000, Windows XP, dan Windows 2003, namun hanya untuk versi yang menggunakan Bahasa Inggris (English Version). Modul Exploit ini memanfaatkan hole yang terjadi saat sistem mengalami stack overflow/ buffer overflow di bagian RPCSS service. Hole ini ditemukan oleh sebuah group riset bernama “Last Stage Of Delirium”.
Berikut adalah References untuk Hole Ini:

http://www.osvdb.org/2100

http://www.microsoft.com/technet/security/bulletin/MS03-026.mspx

http://www.securityfocus.com/bid/8205

!! Breaking Info !! Buffer Overflow/ Stack Overflow adalah suatu kondisi dimana sebuah computer mengalami proses yang tidak wajar, yang diakibatkan karena data- data yang disimpan melebihi kapasitas buffer/stack dari memory computer tersebut. -http://en.wikipedia.org/wiki/Buffer_overflow- RPCSS Service adalah Sebuah Service Pada OS Windows yang mengatur metode RPC (Remote Procedure Call).RPC adalah sebuah metode yang memungkinkan sebuah program atau user untuk dapat mengakses sebuah procedure dari program pada computer lain melalui network. - http://www.cexx.org/rpc.htm -

Exploit modul milik metasploit untuk eksploitasi hole ini bernama ms03_026_dcom. Exploit modul ini dibuat oleh hdm (hdm@metasploit.com), spoonm (spoonm@no$email.com) and cazz (bmc@shmoo.com). Exploit modul ini ditulis dalam bahasa Ruby.  Untuk Source code dari Exploit Modul ini bisa di-download dari link ini à http://dev.metasploit.com/redmine/projects/framework/repository/entry/modules/exploits/windows/dcerpc/ms03_026_dcom.rb

2. CLIMAX
Dalam episode ini, spesifikasi yang saya gunakan dalam mengeksploitasi adalah sebagai berikut:

• Attacker :
• OS : Windows 7 Ultimate
• Metasploit Framework 3
• NMap
• Target :
• OS:Windows 2000 Server Run On VirtualBox

Dalam melakukan eksploitasi saya membaginya menjadi 3 part, yaitu:

I.        Scanning IP Target

Untuk tahap ini saya menggunakan NMap untuk searching IP address dan Port dari Target yang akan di eksploitasi.  Untuk NMap dapat didownload dari alamat http://nmap.org/download.html. Setelah NMap diinstal. langkah yang dilakukan adalah sebagai berikut:

·         Buka Command Prompt (Run -> CMD).

·         Ketik nmap –sS –O   à ex/: nmap –sS –O –P 192.168.56.2-255

è Opsi –sS gunanya untuk TCP SYN scanning, jadi scanning dilakukan dengan mengirimkan signal SYN kepada target, bila ada balasan berarti target UP.Opsi ini biasanya digunakan pada target yg berada pada subnet yg sama dg attacker.

è Opsi –O untuk mengetahui Sistem Operasi yang digunakan target

è Untuk Opsi lain bisa dengan mengetikan nmap pada command prompt.

·         Setelah selesai scan tandai IP yang akan diattack, dan pastikan bahwa Port 135 milik Target terbuka, karena Exploit ini akan menggunakan Port tersebut.

II.    Launch Exploit

Setelah didapatkan IP dan Port milik Target, kita akan me-launch exploit ke target sebagai pembuka Jalan untuk kita melakukan eksploitasi terhadap System milik Target. Untuk melakukan Exploit dilakukan dengan cara sebagai berikut:

·         Buka Console Metasploit.(Untuk yang menggunakan metasploit GUI bisa melompati step ini)

·         Pada  Console Ketikkan ‘search exploits ms03_026_dcom’ untuk mencari exploit ms03_026_dcom.

·         Setelah itu Ketikkan  ‘use exploit/windows/dcerpc/ms03_026_dcom’

·         Kemudian Ketikkan ‘show payloads’, maka akan muncul payload yang dapat digunakan untuk exploitasi ke target. Payload yang saya gunakan adalah ‘generic/shell_bind_tcp’, dimana payload ini akan membuka sebuah console yang dapat mengakses Command Prompt milik target dengan akses Admin sehingga dapat menembus System Windows (heheheheheh)

·         Setelah didapat, ketikkan ‘set payload generic/shell_bind_tcp’ untuk menggunakan payload tersebut pada exploit ms03_026_dcom, setelah sukses ketikkan ‘show options’, maka akan muncul variable yang harus kita set. Variablenya adalah RHOST, dimanaa RHOST adalah IP dari target.Untuk mengesetnya ketikkan ‘set RHOST ’, untuk mengeceknya ketikkan ‘show options’, jika RHOST sudah terisi berarti set RHOST sukses.

3. ANTI CLIMAX

III.        Exploiting Target

·         Setelah setting exploit Selesai, maka launch exploit tersebut. Caranya, pada Console ketikkan “exploit”, maka metasploit akan memproses tunnel ke Command Shell Target.

·         Setelah Proses Selesai, ketikkan “sessions –i lalu enter , maka akan terbuka command shell dari Korban. Command Shell akan mengacu ke folder System 32 dari OS Target. Nah, apabila hal ini telah “terjadi” maka kita sudah dapat mengakses System Target Secara Penuh. Kita dapat melakukan apa saja, mulai dari mengacak- acak system dari OS target, mengubah Account admin target, dan lain sebagainya.

·         Misalkan saya akan menambahkan account administrator ke target, sehingga saya tidak perlu melakukan tunneling lagi bila saya akan mengakses OS target, Langkahnya adalah :

                                                               i.      Ketikkan : net user /add

                                                             ii.      Kemudian jadikan user tersebut menjadi administrator, ketikkan : net localgroup /add

                                                            iii.      Lalu cek dengan mengetikkan : net user , jika ada maka proses pembuatan account berhasil, dengan itu, kita sudah bisa menggunakan akun tersebut untuk akses OS target. :D

·         Setelah berhasil dicoba, maka cobalah untuk menggakses dengan menggunakan user tersebut .